Die Sicherheit des elektronischen Stimmabgabe‑Systems der Post steht im Zentrum einer neuen Testrunde: Zwischen dem 6. und dem 24. Juli erhalten externe, sogenannte ethische Hackerinnen und Hacker erneut die Möglichkeit, das System gezielt anzugreifen. Die Post betont, dass diese Prüfungen unter realitätsnahen Bedingungen stattfinden, damit potenzielle Schwachstellen entdeckt und behoben werden können.
Warum die Tests öffentlich stattfinden
Das Vorgehen ist bewusst transparent und rechtlich vorgeschrieben: Nur durch unabhängige Prüfungen lassen sich Sicherheitslücken aufdecken, bevor sie in einem realen Urnengang zum Problem werden könnten. Seit 2021 stellt die Post sicherheitsrelevante Komponenten und Unterlagen des E‑Voting‑Systems öffentlich zur Verfügung, um externe Fachleute zu Tests einzuladen.
Neu in diesem Jahr ist, dass die Post für einen Teil der Prüfungen die Umgebung so bereitstellt, dass bestimmte Netzwerkschutzmassnahmen deaktiviert sind. Diese «erweiterte Testmöglichkeit» hebt laut Mitteilung die äusserste Schutzwand auf und erlaubt vertiefte Angriffe, die in der normalen E‑Voting‑Umgebung nicht möglich wären. Für diese tiefer gehenden Tests war eine vorgängige Anmeldung erforderlich; die übrigen Aktivitäten des Public Intrusion Test (PIT) konnten ohne Registrierung durchgeführt werden.
Finanzielle Anreize und bisherige Resultate
Die Post vergütet bestätigte Schwachstellen seit Einführung ihres Bug‑Bounty‑Programms mit beträchtlichen Summen. Für einzelne, bestätigte Befunde werden Belohnungen von bis zu 230'000 Euro ausgerichtet. Zusätzlich zahlt die Post für die drei ersten bestätigten Befunde im Rahmen des Intrusionstests eine Prämie von 3'000 Euro.
"Bugs"
Insgesamt hat die Post nach eigenen Angaben bis jetzt rund 246'000 Euro an ethische Hackerinnen und Hacker ausbezahlt. Trotz der kontinuierlichen Prüfungen sei bislang keine kritische Sicherheitslücke im E‑Voting‑System der Post gefunden worden, heisst es in der Mitteilung.
- Public Intrusion Test: Angriffsfenster zwischen dem 6. und 24. Juli
- Erweiterte Testbedingungen: Abschwächung einiger Netzwerkschutzmassnahmen für tiefere Analysen
- Bug‑Bounty: Bis zu 230'000 Euro pro bestätigter Schwachstelle; total bisher 246'000 Euro ausbezahlt
| Leistung | Betrag |
|---|---|
| Maximale Prämie pro Befund | 230'000 Euro |
| Zusatzprämie für die drei ersten Befunde im PIT | 3'000 Euro |
| Ausbezahlte Gesamtbeträge bisher | 246'000 Euro |
Seit 2023 ist das E‑Voting‑System der Post bereits in mehreren Kantonen und einer wachsenden Zahl von Gemeinden in Gebrauch. Kantone wie Luzern und Neuenburg haben angekündigt, Versuche mit dem Post‑System wieder aufzunehmen oder auszuweiten. Die wiederkehrenden Tests sind Teil eines laufenden Bemühens, die digitale Abstimmungsplattform zu stärken und das Vertrauen in elektronische Urnengänge zu erhöhen.
Die Kombination aus offenen Prüfungen, hohen finanziellen Anreizen für Fundmeldungen und der neuen Möglichkeit, Schutzschichten temporär zu lockern, zeigt: Die Post setzt auf eine proaktive Fehlerfindung. Ob sich diese Strategie in belastbaren Erkenntnissen oder gar in der Entdeckung bisher unerkannter Schwachstellen auszahlt, werden die Ergebnisse der laufenden Testphase zeigen — mit direktem Einfluss auf die weitere Verbreitung von E‑Voting in der Schweiz.
